IT-Risiken im Betrieb

Digitale Risiken für KMU: Was Geschäftsführer jetzt wissen müssen

Viele kleine Betriebe setzen heute ganz selbstverständlich auf digitale Abläufe. Damit wachsen aber auch konkrete Pflichten und Risiken, die direkt die Geschäftsführung treffen.

Cyberangriffe als handfestes Betriebsrisiko

Im Kern geht es bei digitalen Risiken zunächst um IT-Angriffe, die den laufenden Betrieb lahmlegen können. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt kleine und mittlere Unternehmen ausdrücklich als zunehmend von Cyberattacken betroffen. Angreifer greifen dabei häufig Kundendaten und andere sensible Informationen ab, verändern, löschen, verschlüsseln oder veröffentlichen sie. Dadurch entstehen laut BSI immense Schäden und Reputationsverluste, die für einen kleinen Betrieb schnell existenzbedrohend werden können. Praktisch bedeutet dies, dass ein verschlüsselter Server oder ein kompromittiertes Warenwirtschaftssystem unmittelbar die Lieferfähigkeit und die Zahlungsläufe trifft.

Gefährdungslage: Warum gerade KMU im Fokus stehen

Die aktuelle Lageeinschätzung der Sicherheitsbehörden zeigt, dass es sich nicht um Einzelfälle handelt. Im IT-Sicherheitslagebericht 2025 spricht das BSI von einer weiterhin angespannten IT-Sicherheitslage. Besonders deutlich ist dort der Hinweis, dass sich rund 80 Prozent der angezeigten Angriffe, etwa mit Ransomware, gegen kleine und mittlere Unternehmen richten. Für Geschäftsführer heißt das, dass der eigene Betrieb statistisch eher zur Zielgruppe gehört als zur Ausnahme. Ein Grund dafür ist oft eine vergleichsweise schwache Absicherung, weil in der täglichen Praxis andere Themen als dringlicher empfunden werden.

Was als Datenschutzvorfall gilt und wann gemeldet werden muss

Neben Cyberangriffen mit Betriebsunterbrechung ist der rechtliche Umgang mit personenbezogenen Daten ein zweiter zentraler Risikobereich. Nach Art. 33 der Datenschutz-Grundverordnung und nach § 65 Bundesdatenschutzgesetz müssen Datenschutzverletzungen grundsätzlich an die zuständige Aufsichtsbehörde gemeldet werden. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) versteht darunter eine Sicherheitsverletzung, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Die Meldung soll laut BfDI unverzüglich und möglichst binnen 72 Stunden nach Kenntnis des Vorfalls erfolgen. In der Praxis kann dies etwa ein verlorenes Notebook mit Kundenlisten oder ein fehladressierter E-Mail-Newsletter sein.

Finanzielle Folgen bei Verstößen gegen Meldepflichten

Wird ein meldepflichtiger Datenschutzvorfall nicht oder verspätet gemeldet, drohen empfindliche Sanktionen. Der BfDI weist darauf hin, dass Verstöße gegen die Pflichten aus Art. 33 und 34 Datenschutz-Grundverordnung mit erheblichen Geldbußen geahndet werden können. Als Obergrenze nennt das Infoblatt der Behörde Geldbußen von bis zu 10.000.000 Euro oder bei Unternehmen bis zu 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für einen kleinen oder mittleren Betrieb kann bereits ein deutlich niedrigeres Bußgeld die finanzielle Stabilität ernsthaft gefährden. Hinzu kommen mögliche Schadensersatzforderungen betroffener Personen und Imageschäden, wenn der Vorfall öffentlich bekannt wird.

Kurze Fristen für sicherheitsrelevante Vorfälle in bestimmten Sektoren

Für Einrichtungen, die das Gesetz als besonders wichtig oder wichtig einstuft, gelten zusätzliche Pflichten aus den Sicherheitsvorgaben für Netz- und Informationssysteme, kurz NIS 2. Das BSI verlangt von diesen Unternehmen Meldungen bei erheblichen Sicherheitsvorfällen, also bei schwerwiegenden Betriebsstörungen, finanziellen Verlusten oder erheblichen Schäden bei Dritten. Nach den Vorgaben des BSI ist eine erste Meldung innerhalb von 24 Stunden nach Kenntnis, eine Folgemeldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens nach einem Monat erforderlich. Betroffene Unternehmen müssen sich zudem im Portal der Behörde registrieren: bsi.bund.de/DE/Themen/…/NIS-2-Meldepflicht_node.html

Konkrete Ansatzpunkte für mehr digitale Widerstandsfähigkeit

Für die tägliche Praxis eines kleinen Betriebs stellt sich die Frage, welche Maßnahmen angesichts dieser Risiken sinnvoll und realistisch sind. Das BSI empfiehlt Unternehmen insbesondere regelmäßige Software-Updates, einen verlässlichen Virenschutz, strukturierte Datensicherung und ein Business Continuity Management, also vorbereitete Abläufe für den Notfall. Gerade diese Basisschritte entscheiden im Ernstfall darüber, ob ein Angriff oder ein technischer Ausfall nur stört oder den Betrieb länger lahmlegt. Für Geschäftsführer lohnt es sich daher, Zuständigkeiten klar zu verteilen, Meldewege festzulegen und die eigenen Systeme anhand der Empfehlungen für KMU zu überprüfen: bsi.bund.de/DE/Themen/…/KMU_node.html

Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine individuelle Beratung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.

Ersttermin

Ihre Fragen im persönlichen Gespräch klären

Lassen Sie Ihre betrieblichen Risikothemen in einem kostenlosen Ersttermin durch einen zugelassenen Kooperationspartner einordnen. Unverbindlich und persönlich.

Kostenlosen Ersttermin anfragen

Die Inhalte dienen der Orientierung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.